CVE-2024-5416

Nome do software vulnerável e versões afetadas:

O plugin “The Elementor Website Builder – More than Just a Page Builder” para o WordPress, nas versões até a 3.23.4, inclusive

Descrição:

A vulnerabilidade está relacionada a Stored Cross-Site Scripting (XSS) por meio do parâmetro url de vários widgets, devido à sanitização insuficiente de entradas e à falta de escapamento de saídas em atributos fornecidos pelo usuário. Isso permite que invasores autenticados, com acesso de nível de colaborador ou superior, injetem scripts web arbitrários nas páginas do Elementor Editor.

Recomendações:

Para versões até a 3.23.4, inclusive, atualize para uma versão que inclua os patches necessários, já que a versão 3.23.2 inclui um patch parcial para este problema.

Como solução temporária, considere restringir o acesso ao parâmetro url de vários widgets para minimizar o risco de exploração.